القوانين، وما تعنيه عمليًا

LPDP

الأرجنتين

قانون مبكر يحظى بقرار الكفاية من الاتحاد الأوروبي، قائم على الموافقة المكتوبة وتسجيل قواعد البيانات ودعوى «هابياس داتا» القضائية، مع مهل رد قصيرة جدًا. ولا يتضمن التزامًا بالإخطار بالخرق ولا التزامات DPO أو DPIA، وتبقى الغرامات صغيرة.

Privacy Act (AU)

أستراليا

قانون الخصوصية في أستراليا، القائم على مبادئ الخصوصية الأسترالية الثلاثة عشر، ويمر حاليًا بمرحلة إصلاح.

LGPD

البرازيل

قانون البرازيل المستوحى من GDPR، مع عشرة أسس قانونية وهيئة وطنية.

PIPEDA

كندا

القانون الاتحادي الكندي للخصوصية في القطاع الخاص، القائم على عشرة مبادئ للممارسات العادلة في التعامل مع المعلومات.

Law 25

كيبيك، كندا

أكثر قوانين الخصوصية صرامة في كندا، مع تقييمات لأثر الخصوصية على عمليات النقل وغرامات بمستوى GDPR.

Bill C-36

كندا

مشروع القانون الاتحادي الذي سيحل محل الجزء الخاص بالقطاع الخاص من PIPEDA. ويحتفظ بسقوف العقوبات المقترحة في C-27 (حتى 10 ملايين CAD أو 3% من الإيرادات العالمية، وغرامات تصل إلى 25 مليون CAD أو 5%) لكنه يتخلى عن قانون الذكاء الاصطناعي وعن المحكمة. ويظل PIPEDA ساريًا حتى يُقر.

LPVP

تشيلي

حتى ديسمبر 2026 تطبّق تشيلي نظام 1999 الخفيف الذي لا تنفذه سوى المحاكم، مع موافقة مكتوبة ومهلة رد مدتها يومان وغرامات زهيدة. ثم يأتي القانون 21,719 بنظام على غرار GDPR مع هيئة جديدة والتزامات بشأن الخرق وغرامات تصل إلى 20,000 UTM.

PIPL

الصين

قانون الخصوصية الشامل في الصين، مع قواعد صارمة بشأن الموافقة والنقل عبر الحدود.

القانون 1581

كولومبيا

يحتاج كل استخدام للبيانات الشخصية إلى تفويض مسبق وصريح ومستنير يستطيع المتحكم إثباته، ويجب على كل متحكم تسمية شخص أو جهة لحماية البيانات. وتمارس SIC الإنفاذ بنشاط، وتسجّل الشركات الكبرى قواعد بياناتها في RNBD، ويُبلَّغ عن حالات الخرق إلى SIC خلال 15 يوم عمل.

LOPDP

الإكوادور

أقرب نسخة من GDPR في المنطقة، مع المصلحة المشروعة وقابلية النقل وتقييمات الأثر ومسؤولي حماية البيانات، إضافة إلى غرامات مرتبطة بحجم الأعمال تصل إلى 1%. وهو أكثر صرامة في التوقيت: 5 أيام لإخطار الجهة التنظيمية و3 أيام لإخطار الأفراد.

PDPL (مصر)

مصر

قانون حماية البيانات في مصر. يحتاج المتحكمون والمعالجون إلى ترخيص من مركز حماية البيانات الشخصية، ويسجّل مسؤولو حماية البيانات لديه.

DPA (غانا)

غانا

قانون حماية البيانات في غانا. يسجّل المتحكمون لدى لجنة حماية البيانات ويجددون التسجيل كل سنتين.

PDPO

هونغ كونغ

أقدم قانون شامل للخصوصية في آسيا، قائم على ستة مبادئ لحماية البيانات، دون التزام بالإخطار بالخرق ودون قيود سارية على النقل. وأشد أدواته جرائم جنائية للتسويق المباشر دون موافقة ولنشر البيانات الشخصية بقصد الإيذاء.

قانون DPDP

الهند

قانون الخصوصية الشامل في الهند، القائم على الموافقة، مع التزامات على أمناء البيانات المهمين.

قانون PDP

إندونيسيا

بنية شبيهة بـ GDPR لكن بمهل قصيرة جدًا مدتها 72 ساعة لكل من طلبات أصحاب البيانات والإخطار بالخرق. ويجب أن تكون الموافقة مكتوبة أو مسجلة، وتقترن عقوبات جنائية تصل إلى 6 سنوات بغرامات تبلغ 2% من الإيرادات.

PPL

إسرائيل

PPL قانون قائم على الموافقة ومتمحور حول قواعد البيانات، مع قواعد أمنية شديدة التفصيل، منها الإبلاغ الفوري عن الحوادث الجسيمة. وأضاف التعديل 13 تعريفات على غرار GDPR، والتزامات DPO، وغرامات إدارية عن كل صاحب بيانات، وتعويضات قانونية، وقصر تسجيل قواعد البيانات على وسطاء البيانات والجهات العامة.

APPI

اليابان

قانون الخصوصية في اليابان، ويعترف الاتحاد الأوروبي بكفايته.

DPA (كينيا)

كينيا

قانون حماية البيانات في كينيا. يسجّل المتحكمون والمعالجون لدى مفوض البيانات. وتعيين مسؤول لحماية البيانات اختياري بموجب القانون.

PDPA (ماليزيا)

ماليزيا

قانون حماية البيانات في ماليزيا، المعدّل في 2024. ويسري تعيين مسؤول حماية البيانات والإخطار بالخرق إلى المفوض خلال 72 ساعة اعتبارًا من 1 يونيو 2025.

LFPDPPP

المكسيك

الموافقة هي الأساس الافتراضي، وتكفي الموافقة الضمنية عبر إشعار الخصوصية لمعظم البيانات، ويجب على كل متحكم تسمية شخص أو قسم لحماية البيانات. ونقلت إعادة الصياغة في 2025 صلاحية الإنفاذ من INAI المستقل إلى وزارة اتحادية، وألغت التزامات القانون القديم تجاه الجهة التنظيمية مع الإبقاء على عقوبات السجن لجرائم البيانات.

Privacy Act

نيوزيلندا

قانون قائم على المبادئ يتضمن 14 مبدأً لحماية المعلومات، وإلزام كل جهة بتعيين مسؤول للخصوصية، والإخطار بالخرق عند الضرر الجسيم. والغرامات صغيرة؛ وتمر سبل الانتصاف عبر المفوض ومحكمة مراجعة حقوق الإنسان.

NDPA (نيجيريا)

نيجيريا

قانون حماية البيانات في نيجيريا. يسجّل المتحكمون والمعالجون ذوو الأهمية الكبرى لدى NDPC ويعيّنون مسؤولًا لحماية البيانات، يجب عليه مواصلة التطوير المهني سنويًا.

LPDP

بيرو

قرّبت لائحة 2024 بيرو من GDPR: نطاق تطبيق خارج الحدود مع ممثل محلي، وإخطار بالخرق خلال 48 ساعة للجهة التنظيمية والأفراد، وقابلية النقل، والتزام بتعيين DPO على مراحل. وتحتفظ بما يميز بيرو من تسجيل قواعد البيانات والإخطار بكل تدفق عابر للحدود.

DPA (الفلبين)

الفلبين

قانون خصوصية البيانات في الفلبين. تعيّن المؤسسات مسؤولًا لحماية البيانات، وتسجّل المؤسسات التي تستوفي الحدود لدى اللجنة الوطنية للخصوصية.

PDPL (المملكة العربية السعودية)

المملكة العربية السعودية

قانون حماية البيانات في المملكة العربية السعودية، وتنفذه SDAIA. وتحدد القواعد متى يلزم تعيين مسؤول لحماية البيانات، ويجري التسجيل والإخطار بالخرق عبر المنصة الوطنية لحوكمة البيانات.

PDPA (SG)

سنغافورة

قانون خصوصية قائم على الموافقة، مع إخطار إلزامي بالخرق منذ 2021.

POPIA

جنوب أفريقيا

قانون الخصوصية الشامل في جنوب أفريقيا، القائم على ثمانية شروط للمعالجة المشروعة.

PIPA

كوريا الجنوبية

تجمع كوريا بين حقوق على غرار GDPR وقواعد موافقة دقيقة على نحو غير معتاد، بندًا بندًا، مع إلزام كل متحكم بتعيين رئيس للخصوصية. والإنفاذ مشدد: رسوم إضافية مرتبطة بالإيرادات تصل الآن إلى 10%، وتعويضات قانونية، وعقوبات جنائية.

nFADP

سويسرا

القانون المعدّل في سويسرا، المتوافق بشكل وثيق مع GDPR، مع غرامات تستهدف الأفراد المسؤولين.

DIFC DPL

الإمارات العربية المتحدة

قانون حماية البيانات في مركز دبي المالي العالمي، وهو منطقة حرة مالية لها قوانينها ومحاكمها الخاصة. ويتبع GDPR عن كثب، وله مفوض خاص لحماية البيانات.

PDPA

تايلاند

مبني بشكل وثيق على GDPR، لكن الموافقة يجب أن تكون عمومًا مكتوبة أو إلكترونية، ويحتاج القاصرون دون 20 عامًا إلى مشاركة ولي الأمر. والمسؤولية المدنية صارمة، ويجوز للمحاكم إضافة تعويضات عقابية تصل إلى ضعف الخسارة الفعلية.

KVKK

تركيا

KVKK مستوحى من GDPR لكنه يحتفظ بسجل عام للمتحكمين (VERBIS) مع جرد مودَع للبيانات، ويوجب إخطار الأفراد بالخرق في جميع الحالات. ومنذ 2024 يقوم النقل إلى الخارج على الكفاية، أو الضمانات التي يعتمدها المجلس، أو العقود القياسية التي يصدرها المجلس والتي يجب إيداعها خلال خمسة أيام عمل.

DPPA (أوغندا)

أوغندا

قانون حماية البيانات في أوغندا. يجب على رئيس كل مؤسسة يشملها القانون تعيين مسؤول لحماية البيانات، ويسجّل كل من يجمع البيانات الشخصية أو يعالجها لدى مكتب حماية البيانات الشخصية.

PDPL (UAE)

الإمارات العربية المتحدة

القانون الاتحادي لحماية البيانات في UAE. وهو ساري منذ يناير 2022، لكن لائحته التنفيذية لم تصدر بعد، ولذلك لا توجد حتى الآن مهلة محددة للإخطار بالخرق ولا جدول للعقوبات.

LPDP

أوروغواي

قانون يحظى بقرار الكفاية من الاتحاد الأوروبي، يجمع بين الموافقة الموثقة والتسجيل الشامل لقواعد البيانات وإضافات على غرار GDPR: إخطار بالخرق خلال 72 ساعة، وتقييمات أثر وتعيين مسؤولي حماية بيانات إلزاميان للمعالجة الواسعة أو الحساسة. الغرامات منخفضة لكن مهل الرد خمسة أيام عمل.

PDPL

فيتنام

أول تشريع في فيتنام بشأن البيانات الشخصية، يحل محل المرسوم 13 بنظام يقدّم الموافقة أولًا، ويجب فيه إيداع تقييمات الأثر وتقييمات النقل لدى وزارة الأمن العام. وتصل الغرامات إلى 5% من الإيرادات لمخالفات النقل و10 أضعاف الإيرادات للاتجار غير المشروع بالبيانات.

CDPA (زيمبابوي)

زيمبابوي

قانون حماية البيانات في زيمبابوي، وتنفذه POTRAZ. يحتاج المتحكمون إلى ترخيص، ويجب تعيين مسؤولي حماية البيانات خلال 90 يومًا وإكمالهم دورة اعتماد معتمدة.